Abokin ciniki na VPN a kan uwar garken LAN: me ya sa amsoshi ke fita ta hanyar da ba ta dace ba

Alamun suna bin siffa ɗaya: uwar garke tana aiki, sannan ta haɗa zuwa VPN a matsayin abokin ciniki, kuma yanzu abokan ciniki na LAN suna isa gare ta yayin da amsoshinta ke ɓacewa. Ɗaukar hoto a kan uwar garken yana nuna cewa amsoshin suna fita ta na'urar rami maimakon fuskar LAN. Babu abin da ya lalace a cikin ramin, kuma maganin hanya ce, ba sake haɗawa ba. Yi gwaje-gwajen huɗu da ke ƙasa a jere kuma ka tsaya a na farko da ya kasa.

Amsa sabuwar fakiti ce, ba juyar da hanya ba

Yana taimakawa a bar tunanin cewa amsa tana komawa ta hanyar da buƙata ta bi. Ana yanke shawarar tuƙi ga kowane fakiti, ga kowane alkibla, a kan uwar garken da ke aikawa. Buƙatar da ta zo daga 10.64.0.23 a cikin ramin ba ta ƙirƙirar hanyar dawowa; sa'ad da uwar garken ta amsa, ana kwatanta wannan amsa da tebur a matsayin sabon fakiti kuma tana fita ta hanyar da ta yi nasara.

Shi ya sa abokin ciniki na cikakken rami a kan na'urar da ke hidimar LAN kuma yana haifar da irin wannan kuskuren mai ruɗani. Abokin ciniki yana sanya hanyar da aka saba, ko rabin hanyoyin biyu da wasu abokan ciniki suka fi so, kuma amsa ga abokin ciniki na LAN yanzu ta dace da ramin. Tana zuwa wurin mai bayarwa, wanda ba shi da dalilin tura ta, kuma abokin ciniki na LAN yana ganin ƙarewar lokaci duk da cewa uwar garken tana aiki kuma tana amsa a gida. Ɗaukar hoton yana bayyana hakan, kuma teburin tuƙi yana bayanin sa.

Ka riƙe ƙananan cibiyoyi biyu a zuciyarka yayin karanta sauran. Ɗaya ita ce tafkin adiresoshin VPN da abokan ciniki na nesa suke zuwa daga gare shi, a wannan misalin 10.64.0.0/24. Ɗayan kuma ita ce LAN wadda dole ta ci gaba da aiki, 172.16.24.0/24 tare da na'urar tuƙinta a 172.16.24.1. Kuskuren shi ne cewa zirga-zirgar da ke tsakaninsu ana yanke shawararta da hanyar da aka saba.

Ka tabbatar da hakan da hoto da bincike

Kafin ka canza wani abu, tabbatar da wace na'ura amsar za ta yi amfani da ita. Bincike ya fi hoto sauri kuma yana amsa ainihin tambayar da kernel zai amsa sa'ad da aka gina fakiti.

ip route get 10.64.0.23 from 172.16.24.10
tcpdump -ni any -c 6 icmp

Karanta amsar a sassa biyu. Idan ta ambaci dev tun0, uwar garken za ta lulluɓe amsar kuma ta ba da ita ga mai bayarwa, kuma abokin ciniki na LAN ba zai taɓa ganin ta ba. Idan ta ambaci dev eth0 amma abokin ciniki har yanzu yana samun ƙarewar lokaci, hanyar ta riga ta yi daidai kuma ana watsar da fakitin daga baya, wanda wata matsala ce da wani magani.

Ɗaukar hoton a wannan mataki yana warware shakkar da ping ba zai iya warwarewa ba. Isowar amsar maimaitawa zuwa ga abokin ciniki na LAN yana tabbatar da cewa wata hanya tana aiki, ba wace fuska ta ɗauke ta ba, don haka gudanar da hoton a kan uwar garken kanta ka kalli inda firam ɗin ke fita. Na'urar buga takardu a cikin wannan ƙaramin cibiyar tana ci gaba da amsawa, domin hanyarta kai tsaye ta fi ta ramin da aka saba takamaimai. Tashar da aka tura gaba tana kasa daidai da kowane magudanar ruwa, domin tebur yana zaɓar fuskarta, ba haɗin ba.

Sanya mafi ƙarancin hanya da ta fi ramin ƙarfi

Tsawon prefix ne ke yanke shawara, ba metric ba, don haka hanyar tafkin abokan ciniki ta hanyar na'urar tuƙin LAN tana cin nasara a kan duk wata hanyar da aka saba da abokin ciniki na VPN ke sanyawa. Ba a buƙatar tiyatar metric, kuma hanyar da aka saba tana iya kasancewa daidai inda abokin ciniki ya ajiye ta.

ip route replace 10.64.0.0/24 via 172.16.24.1 dev eth0
ip route get 10.64.0.23 from 172.16.24.10

Yi amfani da replace maimakon add, domin abokin ciniki da ya sake haɗawa zai kasance ya sanya nasa shigarwar kuma add na biyu yana kasa da kuskuren hanyar da take nan, wanda ke karantawa kamar matsalar izini. A kan uwar garken Windows kwatankwacin shi ne route add 10.64.0.0 mask 255.255.255.0 172.16.24.1 -p, inda -p ke riƙe shigarwar a tsakanin sake kunnawa, tunda abokin ciniki na iya sake gina teburin sa'ad da ramin ya dawo. A kan uwar garken Windows na zamani kwatankwacin da ake goyon baya shi ne New-NetRoute -DestinationPrefix 10.64.0.0/24 -NextHop 172.16.24.1 -InterfaceAlias Ethernet -PolicyStore PersistentStore, tare da riƙe tsohon umarnin route a matsayin tsohon tsari.

Wani bayani ɗaya ne ke yanke shawara ko wannan daidai ne ko kuwa abin yarda ne kawai: tsallakewar gaba dole ta zama na'urar tuƙin da ke da ainihin hanyar komawa ga abokan ciniki. Nuna hanyar zuwa adireshin da shi kansa ake isa gare shi ta ramin yana haifar da madauki wanda ke bayyana a matsayin asara mai tsayawa-tsayawa maimakon cikakkiyar gazawa. Tabbatar cewa tsallakewar gaba tana kan ƙaramin cibiyar LAN kafin ka shigar da layin.

Riƙe amsar bayan sake haɗawa

Hanyar da aka ƙara da hannu tana rayuwa mafi kyau har zuwa sake haɗawa na gaba. Idan tafkin abokan ciniki yana canzawa, ka liƙa shi a cikin tsarin uwar garken domin prefix ɗin da ka yi tuƙi ya kasance prefix ɗin da abokan ciniki ke samu; in ba haka ba shigarwar tana nuna wani fanni mara komai kuma alamar tana dawowa bayan makonni ba tare da wani sanannen dalili ba. Rubuta hanyar a cikin up-script na abokin ciniki kansa shine ɗayan zaɓi mai dogaro, domin yana gudana bayan abokin ciniki ya sake rubuta teburin.

Wutar bango mai ɗauke da yanayi tana iya kayar da daidai hanya har yanzu. Idan hoton yanzu ya nuna amsar tana fita ta eth0 kuma abokin ciniki har yanzu yana samun ƙarewar lokaci, duba ko uwar garken tana watsar da fakitin kafin a aika shi. Tacewar tsantsa ta hanyar baya da net.ipv4.conf.all.rp_filter da aka saita zuwa 1 suna watsar da fakiti waɗanda ba za a yi tuƙin tushensu a baya ta fuskar da suka shigo da ita ba, wanda shine ainihin yanayin rashin daidaito da ka ƙirƙira yanzu sannan ka gyara, kuma yanayin conntrack yana ba da labari ɗaya ga tashoshin da aka tura gaba.

Gwajin ƙarshe shine wanda mutane ke tsallakawa: sake maimaita binciken bayan ramin ya yi ƙasa sannan ya sake tashi. Dole ƙima huɗu su dace da abin da ka rubuta: manufa, tsallakewar gaba, na'urar da tushen da aka zaɓa. Idan ɗaya daga cikinsu ya motsa, abokin ciniki ya sake rubuta teburin kuma maganin yana cikin ƙugiyoyinsa ba cikin tarihin shell ba.